PT-2021-19442 · Hitachi Vantara · Pentaho Business Intelligence Server+1
Publicado
2021-11-08
·
Atualizado
2022-07-12
·
CVE-2021-31602
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Hitachi Vantara Pentaho até a 9.1
Versões do Pentaho Business Intelligence Server até a 7.x
Descrição
Foi detectada uma falha no modelo de segurança do software afetado, que possui diferentes camadas de controle de acesso. Uma dessas camadas é a segurança do applicationContext, definida no arquivo applicationContext-spring-security.xml. A configuração padrão permite que um usuário não autenticado, sem conhecimento prévio das configurações da plataforma, extraia informações sem possuir credenciais válidas.
Recomendações
Para as versões do Hitachi Vantara Pentaho até a 9.1, atualize a configuração do arquivo applicationContext-spring-security.xml para restringir o acesso e exigir credenciais válidas para a extração de informações.
Para as versões do Pentaho Business Intelligence Server até a 7.x, atualize a configuração do arquivo applicationContext-spring-security.xml para restringir o acesso e exigir credenciais válidas para a extração de informações.
Como solução alternativa temporária, considere restringir o acesso à camada de segurança applicationContext até que uma solução mais permanente seja implementada.
Exploit
Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Hitachi Vantara Pentaho
Pentaho Business Intelligence Server